Политика конфиденциальности

Последнее обновление: 21 октября 2026 г.

1. Кто мы

Всемирная республика («Всемирная республика», «мы», «нас», «наш») управляет приложением и сайтом Всемирной республики по адресу https://www.worldrepublic.org («Сервис»). То же приложение предоставляется и под вторым названием — Raised by Humanity — по адресу https://www.raisedbyhumanity.org. Этот сайт работает на том же программном обеспечении, использует те же аккаунты и ту же базу данных и управляется нами. В этой политике «Сервис» означает обе площадки, и эта политика действует на обеих. Всемирная республика — швейцарское объединение (Verein) по ст. 60 и след. Швейцарского гражданского кодекса с местом нахождения в Цуге, Швейцария. Она обладает правосубъектностью по ст. 60(1) Гражданского кодекса и не внесена в торговый реестр. Сервисом управляет из Венгрии наше правление, поэтому для целей Общего регламента ЕС по защите данных (GDPR) Всемирная республика учреждена в Европейском союзе, а наш ведущий надзорный орган там — Венгерское национальное управление по защите данных и свободе информации (NAIH).

Для большей части описанной ниже обработки мы — контролёр данных. Для верификации личности контролёр — мы, а Amazon Web Services выступает нашим обработчиком / поставщиком услуг. Второй поставщик, Didit, назван ниже в связи с направлением на дополнительную проверку, которое сейчас не предлагается, — см. Раздел 4.2.

• Контакт по вопросам конфиденциальности: privacy@worldrepublic.org
• Контакт в Европейском союзе: Balázs Kónya, член правления, 3626 Hangony, Dózsa György út 5., Венгрия (privacy@worldrepublic.org)

2. Сфера действия

Эта политика распространяется на каждого, кто пользуется Сервисом, по всему миру. Там, где местное право даёт вам дополнительные права — в том числе GDPR ЕС и Великобритании, обновлённый швейцарский Федеральный закон о защите данных (revFADP), Закон Калифорнии о конфиденциальности потребителей с изменениями, внесёнными CPRA, и биометрические законы штатов США (BIPA в Иллинойсе, CUBI в Техасе, закон штата Вашингтон), — эти права описаны в Разделе 10.

Сейчас Всемирная республика проводит тестовые выборы, не имеющие обязательной силы. Мы пока не принимаем членов; участие экспериментальное.

3. Какую информацию мы собираем

3.1 Информация, которую предоставляете вы

• Информация об аккаунте: если вы входите через Google, мы получаем токен аутентификации и идентификатор вашего аккаунта Google. Идентификатор мы сохраняем — именно он связывает ваш аккаунт с вашим входом через Google. Ваши имя, адрес электронной почты и фотографию в Google мы не храним, и мы не сохраняем токен, в котором они содержатся.
• Учётные данные ключа доступа: если вы пользуетесь ключом доступа (WebAuthn), мы храним учётные данные с открытым ключом, идентификатор и метаданные устройства, необходимые для вашей аутентификации.
• Информация профиля: имя пользователя, которое мы генерируем при создании аккаунта и которое вы можете изменить в любой момент в настройках аккаунта. Ваше имя пользователя публикуется везде, где вы появляетесь в Сервисе, — см. Раздел 6, — поэтому, если вы поставите своё настоящее имя, публиковаться будет именно оно. Мы также генерируем для каждого аккаунта реферальный код; ничто в Сервисе его не использует.
• Содержимое, которое создаёте вы: названия политических партий, описания и ссылки.
• Жалоба на партию: если вы жалуетесь на запись партии в реестре, мы сохраняем, на какую партию, какое основание вы выбрали, что вы написали и когда. По большинству оснований мы также просим ваше имя и адрес электронной почты, потому что закон, который обязывает нас принять вашу жалобу, обязывает нас и подтвердить, что она у нас есть, и сообщить вам, что мы решили, — а другого способа связаться с вами у нас нет. По одному основанию мы не просим ни того ни другого и не храним ни того ни другого: это жалоба на то, что содержимое — материалы, содержащие сексуальное насилие над детьми. Если вы вошли в аккаунт, мы также записываем, с какого аккаунта подана жалоба. Это единственное место, где мы храним данный вами адрес электронной почты; Раздел 8 говорит, как долго, а Раздел 10.1 — для чего мы его используем и для чего не используем.
• Подтверждение возраста: то, что вы подтвердили, что вам 18 лет или больше, и когда. Мы спрашиваем об этом один раз, перед верификацией личности. Мы не спрашиваем вашу дату рождения и не храним её — только то, что подтверждение было дано, возраст, относительно которого оно было дано, и время.
• Результат проверки вашей партии: показывается ли ваша партия по умолчанию по решению автоматической проверки из Раздела 5.1 или отложена как спам; какое основание она указала; какая из двух её проверок (или какой человек) приняла решение; какая модель приняла решение там, где решала модель; и когда.
• Говорит ли ваша партия, чего она хочет в отношении ИИ: говорит ли название или описание вашей партии, чего она хочет в отношении искусственного интеллекта, — так, как это прочитала проверка из Раздела 5.2; строка, которую она дала и которая может дословно цитировать ваши собственные слова; что дало ответ (автоматический классификатор или человек); какая модель — там, где отвечала модель; и когда.
• Решение снять вашу партию: отдельно от описанной выше проверки партия, содержимое которой мы считаем противоправным, может быть полностью убрана из реестра — её страница перестаёт открываться для кого бы то ни было, её нельзя найти, и она не может получать голоса. Это другая и гораздо более тяжёлая мера, чем результат проверки выше, который влияет только на то, показывается ли партия по умолчанию. Если мы так поступаем, мы сохраняем дату, правовое основание, на которое мы опирались, наше собственное письменное объяснение того, почему это основание применимо к вашей партии, послужила ли причиной чья-то жалоба или наша собственная проверка, и метку того, кто принял решение. Всё это, кроме последнего, вам показывается — в Сервисе, на собственной странице вашей партии, которая по-прежнему открывается для вас, хотя больше ни для кого не открывается. Мы не называем человека, принявшего решение, и не сообщаем вам, кто на вас пожаловался, если такое было.
• Запись о голосовании: то, что вы голосовали на тех или иных тестовых выборах, и когда. Не то, за какую партию вы голосовали. В этой политике ваш бюллетень — это выбор, который вы сделали на тестовых выборах. Ваш бюллетень конфиденциален: ваш выбор прибавляется к общему счёту партии и не хранится вместе с вашим аккаунтом. Кроме подтверждения, которое ваше собственное устройство показывает в момент голосования, ни один экран в Сервисе не показывает, как вы проголосовали, и мы этого не публикуем. В некоторых случаях тот, у кого есть прямой доступ к нашей базе данных (Раздел 11) или к её копии, всё же может связать бюллетень с человеком, который его подал. Когда и как долго это возможно, говорит Раздел 5.3.
• Данные об операции: при выводе WDD — адрес кошелька назначения, сумма и выбранная сеть.

3.2 Верификация личности и биометрические данные

Чтобы тестовые выборы были честными (один верифицированный человек — один голос) и чтобы не допустить мошенничества и дублирующих аккаунтов, мы подтверждаем, что вы уникальный, живой, реальный человек. Полное и отдельное объяснение про биометрические данные — в Разделе 4; пожалуйста, прочитайте его внимательно.

3.3 Информация, собираемая автоматически

• Информация об устройстве и журналах: тип устройства и браузера, операционная система и подобные технические данные.
• IP-адрес: мы обрабатываем ваш IP-адрес, чтобы применять ограничения частоты запросов и предотвращать злоупотребления (он недолго хранится в наших записях об этих ограничениях). Мы также сохраняем ваш IP-адрес и user-agent браузера в составе записи о согласии, когда вы впервые соглашаетесь с нашими Условиями использования и подтверждаете, что ознакомились с этой политикой, или когда даёте биометрическое согласие, — как доказательство этого согласия с Условиями или этого биометрического согласия. Ваш IP-адрес и user-agent браузера также записываются в журналы безопасности, описанные в Разделе 8: когда ваше устройство начинает проверку живого присутствия в ходе проверки лица и каждый раз, когда вы скачиваете изображения с ваших проверок лица.
• Информация об использовании: какие возможности вы использовали и какие действия совершили в Сервисе.
• Копии ваших данных: когда вы скачиваете машиночитаемый файл, описанный в Разделе 10.1, или изображения с ваших проверок лица, мы записываем, что копия была сделана, когда, что из этих двух это было и какие части записи она содержала (для изображений — ту часть верификации, к которой они относятся). Для изображений запись делается в момент начала скачивания, поэтому скачивание, которое затем не удалось на вашем устройстве, всё равно появляется в списке и засчитывается в ограничение. Мы храним это для того, чтобы на каждом устройстве, где вы вошли в аккаунт, был виден один и тот же список, — это единственный имеющийся у нас способ сообщить вам, что кто-то, у кого был доступ к вашему сеансу, скопировал всё, ведь адреса, по которому вам об этом сообщить, у нас нет. Просмотр копии на экране не записывается; список фиксирует ту копию, которая покидает устройство.

3.4 Файлы cookie и локальное хранилище

Мы используем только строго необходимые и функциональные файлы cookie и локальное хранилище:

• Аутентификация и безопасность (файлы cookie сеанса и привязки аккаунта).
• Параметры (например, выбранный вами язык).
• Функциональное состояние (например, возврат на страницу после верификации).
• Копия экрана вашего аккаунта — она хранится, чтобы Сервис мог сразу отрисовать его снова, когда вы вернётесь. В ней то, что показывает этот экран: ваш баланс WDD, ваши последние операции — включая адрес кошелька назначения и сеть по каждому сделанному вами выводу — и то, верифицирован ли ваш аккаунт или же в проверке живого присутствия было отказано. При выходе из аккаунта она заменяется пустой копией. Пока вы не выйдете, она остаётся на устройстве, поэтому выходите из аккаунта, если этим устройством пользуются другие люди.

Мы не используем рекламные файлы cookie и не подключаем никаких рекламных SDK и SDK межсайтового отслеживания.

4. Биометрические данные (проверка живого присутствия) — пожалуйста, прочитайте

Чтобы проголосовать на тестовых выборах и чтобы зарегистрировать партию, вы должны пройти проверку живого присутствия. В этой политике эта проверка называется проверкой лица. При проверке лица обрабатываются биометрические данные, а это чувствительные персональные данные особой категории. Мы хотим быть полностью прозрачными в этом отношении.

4.1 Что происходит

• Ваше устройство записывает короткое живое видео вашего лица, которое обрабатывает Amazon Web Services (AWS) Amazon Rekognition Face Liveness, чтобы подтвердить, что перед камерой реальный живой человек (защита от подделки).
• AWS сохраняет эталонное изображение лица для этого сеанса. AWS сохраняет это изображение независимо от того, пройдена проверка или нет, поэтому изображение остаётся и после непройденной проверки. Вы можете в любой момент сделать так, чтобы это изображение было уничтожено (Раздел 4.4).
• Если проверка проходит успешно, мы добавляем вектор лица (шаблон), созданный из этого изображения, в защищённую коллекцию AWS Rekognition. Проверка, в которой отказано как в дубликате, не добавляет в коллекцию никакого вектора.
• Эту коллекцию мы используем, чтобы провести сравнение «один ко многим» с векторами лиц других пользователей и проверить, не верифицировано ли то же самое лицо уже на другом аккаунте.

Отказ автоматический. Если сравнение находит совпадение, в верификации этого аккаунта отказывается в тот же момент — самим сравнением, — и ни один человек в этом решении не участвует. Взвешивается единственное: насколько вектор лица, созданный из вашего снимка, похож на вектор, который уже есть в коллекции, и измеряется это по одному фиксированному порогу сходства; ничто другое о вас в это не входит. Аккаунт, которому отказано, не может голосовать на тестовых выборах и не может зарегистрировать партию, а отказ остаётся в силе для этого аккаунта, пока его не изменит человек.

Вы можете попросить, чтобы на это посмотрел человек. Напишите на privacy@worldrepublic.org или спросите в нашем Сообществе поддержки, и мы ответим в течение одного месяца. Человек сравнивает эталонное изображение из вашей проверки с тем, которое хранится для совпавшего аккаунта, если оба ещё существуют — любое из изображений может быть уже уничтожено по Разделу 4.5, — и может отменить отказ и верифицировать вас.

Если изображений больше нет, это ещё не конец. Если лицо, с которым совпала ваша проверка, с тех пор уничтожено — потому что тот аккаунт был удалён или потому что стоящий за ним человек отозвал своё согласие, — человек может вместо этого снять отказ, чтобы вы могли пройти проверку заново. Это не решение о том, что вы верифицированы: новая проверка проходит полностью, с тем же сравнением, и может отказать вам снова. Чтобы оба пути были возможны, мы храним запись о совпадении вместе с проверкой, в которой было отказано: с каким аккаунтом было совпадение и насколько близким оказалось сравнение (Раздел 8).

4.2 Направление в Didit

Этот путь сейчас не предлагается, и запустить такую проверку невозможно. Он описан здесь потому, что он спроектирован.

Замысел такой: направление в Didit, к поставщику услуг верификации личности, для того, кому проверка лица отказала по ошибке, — при ложном совпадении как дубликата между похожими друг на друга людьми. Оно запрашивало бы ваше явное согласие, и Didit по нашему поручению проверял бы документ и селфи.

Сегодня ничего из этого не работает: в Сервисе нет экрана, который бы это предлагал, а маршрут, который запустил бы проверку, отклоняет любой запрос. Didit не хранит никаких наших данных верификации. Если проверка лица вам отказала, открытый для вас путь — тот, что описан в Разделе 4.1: спросите в нашем Сообществе поддержки, и человек может посмотреть обе записи и заново открыть верификацию.

Если направление когда-нибудь будет предложено, этот Раздел скажет, что при нём собирается и что получаем мы, — прежде чем это произойдёт.

4.3 Уведомление о поставщиках услуг (AWS и Didit)

Всемирная республика пользуется услугами поставщиков для верификации личности. Биометрические идентификаторы и биометрическая информация («биометрические данные»), а именно сканы геометрии вашего лица и связанные с ними изображения лица и шаблоны, могут собираться, храниться и использоваться этими поставщиками услуг (AWS, а также Didit, если направление из Раздела 4.2 когда-нибудь будет предложено) по поручению Всемирной республики с целью подтвердить, что вы уникальный, живой, реальный человек, и не допустить дублирующих или мошеннических аккаунтов. Всемирная республика уничтожает биометрические данные, которые AWS хранит по её поручению, когда первоначальная цель их сбора достигнута, когда вы запрашиваете удаление, или раньше, если этого требует закон. Didit не хранит никаких наших биометрических данных и данных о личности, потому что направление не предлагается. Если оно когда-нибудь будет предложено, условия, на которых Didit может хранить эти данные и обязан их удалить, будут сначала определены и изложены здесь. Биометрические данные могут передаваться между Всемирной республикой и её поставщиками услуг в той мере, в какой это необходимо для оказания этой услуги.

4.4 Ваше согласие и ваш выбор

В основании этой проверки лежат две вещи, и мы называем обе.

Сама проверка необходима для той услуги, о которой вы нас просите. Тестовые выборы, на которых у одного верифицированного человека один голос, нельзя провести, если не показано, что каждый избиратель учтён только один раз, а менее навязчивого способа показать это у нас сегодня нет. Поскольку при проверке обрабатываются биометрические данные, нужно и второе: ваше явное, активное согласие — именно это условие мы используем для самих биометрических данных. Мы запрашиваем это согласие в начале проверки лица и без него не обрабатываем никаких биометрических данных.

Чего стоит отказ. Проверка лица сегодня — единственный путь к голосованию. Если вы от неё откажетесь, вы не сможете голосовать на тестовых выборах и не сможете зарегистрировать новую партию. Больше это не стоит вам ничего: вы по-прежнему можете держать WDD, выводить WDD, возглавлять партию, зарегистрированную вами раньше, и пользоваться всем остальным в Сервисе. Прежде чем пройдут любые выборы, результат которых кого-либо обязывает, мы предложим путь к голосованию, не требующий проверки лица.

Вы можете отозвать это согласие в любой момент, и удалять для этого аккаунт не нужно. В приложении откройте Аккаунт → Верификация → Удалить данные моего лица. Отзыв вступает в силу сразу и уничтожает и эталонные изображения, и шаблон лица, с которым мы сравниваем. Если вам нужна копия изображений, сначала скачайте их на том же экране (Раздел 10.1). Ваш аккаунт, ваш баланс WDD, партия, которую вы возглавляете, и любой уже отданный вами голос остаются нетронутыми. Вы не сможете голосовать снова, пока не пройдёте новую проверку лица, — а пройти её вы вольны в любой момент, если только вашей проверке уже не отказано как дубликату другого аккаунта (автоматический отказ, описанный в Разделе 4.1). Отзыв уничтожает данные, но не отменяет это решение; чтобы оспорить его, напишите на privacy@worldrepublic.org.

Одно исключение — то же самое, которое Раздел 4.5 описывает для удаления аккаунта: если на момент отзыва тестовые выборы, на которых вы голосовали, ещё идут, ваше согласие прекращается сразу, а сами биометрические данные уничтожаются, когда эти выборы завершатся, — если только до этого вы не пройдёте новую проверку лица: тогда это новое согласие остаётся в силе и ничего не уничтожается. Как указано в Разделе 4.5, уничтожение никогда не ждёт дольше четырнадцати дней: выборы, которые завершаются более чем через четырнадцать дней после вашего отзыва, не задерживают уничтожение вовсе. Вместо этого вы можете удалить и весь аккаунт целиком (Раздел 9) или связаться с нами, чтобы воспользоваться любым из прав, перечисленных в Разделе 10.

4.5 Хранение и уничтожение

Мы храним биометрические данные только столько, сколько нужно для верификации и защиты от дубликатов. Мы уничтожаем их, когда цель достигнута, по вашему запросу на удаление, при удалении вашего аккаунта или через три года после вашего последнего взаимодействия с Сервисом — в зависимости от того, что наступит раньше. Одна запись хранится дольше: запись журнала аудита безопасности, описанная в Разделе 1 нашей Политики хранения и уничтожения биометрических данных и отмечающая положения ваших глаз, носа и рта и угол поворота вашей головы. Наша письменная Политика хранения и уничтожения биометрических данных излагает каждое из этих оснований полностью, а её Раздел 2 перечисляет, что считается взаимодействием. Уничтожение включает удаление эталонного изображения в AWS (Amazon S3) и вектора лица (коллекция Rekognition).

Одно исключение — ограниченное и изложенное здесь потому, что вам следует знать о нём прежде, чем действовать: если вы удаляете аккаунт — или отзываете биометрическое согласие по Разделу 4.4 — в то время, когда тестовые выборы, на которых вы голосовали, ещё идут, мы храним ваши биометрические данные до завершения этих выборов и уничтожаем их тогда. Если вы отозвали согласие, а затем прошли верификацию заново до завершения выборов, назначенное уничтожение отменяется, потому что новая проверка лица — это новое согласие; удаление таким образом не отменяется никогда. Поданный голос нельзя забрать обратно из общего счёта партии, поэтому он остаётся учтённым, и проверка лица — единственное, что мешает одному и тому же человеку верифицировать новый аккаунт и проголосовать на тех же выборах второй раз. Задержка никогда не превышает оставшегося срока этих выборов и никогда не превышает четырнадцати дней: выборы, которые завершаются более чем через четырнадцать дней после вашего действия, не задерживают уничтожение вовсе. Больше ничто в этом удалении не ждёт.

4.6 Где обрабатываются биометрические данные

Ваши шаблоны лица и эталонные изображения обрабатывает и хранит AWS в Европейском союзе (Ирландия). Связанные метаданные верификации (например, оценки достоверности и ссылки на хранилище) хранятся в нашей основной базе данных (см. Раздел 7).

5. Как мы используем информацию и на каких правовых основаниях

5.1 Автоматическая проверка регистраций партий

Когда вы регистрируете партию или редактируете её, программа проверяет её, прежде чем она начнёт показываться по умолчанию. В этом шаге не участвует ни один человек.

• Что она читает: название партии, описание, ссылку на сайт и имя пользователя лидера — ничего другого о вас.
• Что она решает: появится ли партия в списках по умолчанию, в поиске и в списке партий на выборах или будет отложена как спам. Отложенная партия не удаляется: она остаётся по своему адресу, её можно найти, включив показ всех партий, и за неё можно проголосовать.
• Основания: реклама чего-либо за пределами Сервиса (в том числе выдача себя за Сервис или за известную партию), предложение личной платы за голоса, подстрекательство к насилию и непристойность. Политические взгляды никогда не служат основанием, и проверка обязана процитировать то, что она отметила.
• Как она решает: большая языковая модель GLM-5.3 Flash от Z.ai применяет эти правила к тексту. Когда эта модель недоступна, те же правила применяет GLM-5.3 того же производителя. Обе работают на Baseten в Соединённых Штатах (Разделы 6 и 7); Baseten ничего не сохраняет ни из одного запроса после того, как на него дан ответ, и не обучается на нём. Второе, фиксированное правило сравнивает название партии с названиями известных партий. Результат, его основание, какая проверка приняла решение и — там, где решала модель, — какая из двух моделей это была, хранятся вместе с партией (Раздел 8).
• Почему решать это может программа: реестр, в котором каждая запись — это настоящая регистрация партии, входит в ту услугу, ради которой вы регистрируете партию, и именно это позволяет принимать такое решение программе. Регистрация партии выражает и политические взгляды. Решение никогда не принимается исходя из этих взглядов — перечисленные выше основания касаются того, что регистрация делает, а не того, о чём она, и регистрацию никогда не отмечают за то, что она отстаивает. Эти взгляды читаются только потому, что находятся в проверяемом тексте, и вы сами делаете их публичными, регистрируя партию для публикации в публичном реестре. Чтобы голосовать, держать WDD или пользоваться чем-либо ещё, регистрировать партию не обязательно.
• Ваши возможности: лидер партии видит результат и основание на странице партии. Изменение партии снова отправляет её на проверку. Вы можете попросить человека рассмотреть этот результат — через Сообщество поддержки, ссылка на которое есть в том уведомлении, или написав на privacy@worldrepublic.org.

5.2 Говорит ли партия, чего она хочет в отношении ИИ

Raised by Humanity — это кампания о том, как следует регулировать искусственный интеллект. Чтобы определить, какие партии занимают по этому вопросу позицию, тот же запрос, в рамках которого идёт проверка из Раздела 5.1, задаёт и второй, отдельный вопрос.

• Что он спрашивает: мог бы человек, который следит за публичной дискуссией об ИИ, понять по названию или описанию партии, чего она хочет в отношении ИИ, — как его следует создавать, использовать, распространять, ограничивать или регулировать. Учитывается любая позиция, за или против, и ни одна не весит больше другой. Партии не обязательно использовать слово «ИИ». Упоминание ИИ, как и его использование или продажа, — это не позиция.
• Что он читает: те же поля, что и в Разделе 5.1, в том же запросе, — название партии, описание, ссылку на сайт и имя пользователя лидера. Ничего сверх этого не отправляется, и больше никуда это не отправляется.
• Что он записывает: ответ — говорит, чего хочет в отношении ИИ, или не говорит — вместе с одной строкой, цитирующей слова, на которые он опирался, моделью, которая ответила, и временем ответа. Это хранится вместе с партией (Раздел 8).
• Что он меняет: одно представление, и только для читателя, который о нём просит. Включение фильтра «Показать только партии с позицией по ИИ» в списке партий или в списке партий на выборах показывает только те партии, ответ для которых — что они говорят, чего хотят в отношении ИИ. Фильтр выключен, если только читатель его не включит. Ответ не участвует в проверке из Раздела 5.1. Без этого фильтра ответ ничего не меняет в том, что кто-либо видит, включая списки по умолчанию, поиск и список партий на выборах, и никогда не влияет ни на одно голосование. Если это изменится, этот раздел скажет об этом с того дня, когда это произойдёт.
• Как он решает: те же модели, что и в Разделе 5.1, — GLM-5.3 Flash от Z.ai или GLM-5.3, когда эта модель недоступна, — работающие на Baseten в Соединённых Штатах; Baseten ничего не сохраняет из запроса после того, как на него дан ответ, и не обучается на нём.
• Ваши возможности: каждое изменение партии задаёт этот вопрос заново, и новый ответ заменяет прежний. Ответ есть в копии ваших данных, которую вам выдаёт Сервис (Раздел 10). Вы можете попросить человека рассмотреть его или возразить против него, написав на privacy@worldrepublic.org. Если ответ таков, что ваша партия не говорит, чего она хочет в отношении ИИ, карточка вашей партии сообщает об этом, пока у вас включён этот фильтр.
• Почему этот вопрос может читать политическую позицию: это единственное место, где Сервис читает то, что партия отстаивает, а не только то, что она делает. Он читает только слова, которые опубликовала сама партия, на одну тему, и относится ко всем позициям по этой теме одинаково. Вы сами делаете эти слова публичными, регистрируя партию для публикации в публичном реестре. Чтобы голосовать, держать WDD или пользоваться чем-либо ещё, регистрировать партию не обязательно.

5.3 Ваш бюллетень

Когда вы голосуете, наш сервер получает сведения о том, кто вы, и ваш выбор вместе, потому что ему нужно проверить, что вы вправе голосовать, а затем подсчитать голос. Хранит он их раздельно, в трёх записях, сохраняемых вместе: запись о том, что вы голосовали на этих выборах, и когда; запись о вашем согласии на подсчёт вашего голоса, в которой названы выборы и день; и ещё один голос, прибавленный к общему счёту партии. Ни одна запись не хранит ваш выбор вместе с вашим аккаунтом. В некоторых случаях ваш бюллетень всё же можно связать с вами, и этот Раздел говорит, когда именно.

• Пока выборы идут. Наша база данных помечает каждое сохраняемое изменение номером. Все три записи сохраняются в одном и том же изменении, поэтому у них один и тот же номер. Значит, пока выборы идут, тот, у кого есть прямой доступ к нашей базе данных (Раздел 11), мог бы узнать, кто подал самый последний бюллетень за каждую партию, а наблюдая за тем, как меняются итоги, — кто подал каждый бюллетень за это время. С помощью инструментов, которые читают хранилище базы данных напрямую, он мог бы узнать и то, кто подал другие недавние бюллетени, — по старым версиям итогов, которые база данных ещё не очистила. Наши тестовые выборы принимают бюллетени три дня, и Сервис никогда не принимает бюллетени на одних выборах дольше четырнадцати дней.
• После завершения выборов. Вскоре после завершения выборов, обычно в течение нескольких минут, мы перезаписываем их итоги отдельным изменением. После этого ни одна запись в нашей основной базе данных — той, на которой работает Сервис, — не связывает бюллетень с человеком, который его подал. Старые версии итогов могут оставаться в хранилище базы данных, пока не будут перезаписаны, и те же самые инструменты по-прежнему могут их прочитать.
• В истории для восстановления и резервных копиях нашего поставщика. Наш поставщик базы данных хранит историю для восстановления базы данных, продолжительность которой мы сейчас задаём примерно в шесть часов. Она позволяет связать любой бюллетень, поданный за это время, и позволяет вернуть итоги в том виде, в каком они были до того, как мы их перезаписали, вместе со связями, которые в них были. Кроме того, у поставщика есть собственные резервные копии, которые, по его заявлению, он хранит 30 дней; мы ещё не подтвердили у него, что именно охватывают эти резервные копии. Эти резервные копии, а также любая копия нашей базы данных (Раздел 11), сделанная до того, как итоги были перезаписаны, сохраняют эти связи, пока не истечёт их срок хранения или пока их не удалят, а удалённая нами копия может оставаться в этих резервных копиях, пока не истечёт их срок хранения.
• В том, что мы публикуем. Общий счёт каждой партии мы публикуем после завершения выборов (Раздел 6); пока выборы идут, мы показываем только то, сколько всего подано бюллетеней. Если на выборах все голосуют за одну и ту же партию, итоги показывают любому, кто знает, что эти люди голосовали, как проголосовал каждый из них. А когда голосует совсем мало людей, тот, кто знает, как проголосовали остальные, может вычислить и оставшееся.

Ничто в Сервисе не использует ничего из этого, чтобы связать бюллетень с человеком, который его подал.

Поскольку ваш выбор раскрывает политические взгляды, мы просим вашего явного согласия, прежде чем его подсчитать. На экране, где вы отдаёте свой голос, на каждых тестовых выборах есть неотмеченный флажок, запрашивающий это согласие, и его нужно отметить, прежде чем голос будет подан; наш сервер отклоняет бюллетень без него. Мы записываем это согласие вместе с выборами, версией и языком текста, который вы отметили, и днём. Никакого IP-адреса или сведений о браузере мы вместе с ним не записываем, а из времени записываем только день, потому что оно сохраняется в тот же момент, что и запись о том, что вы голосовали, и точное время стало бы второй записью о том, когда вы голосовали. Вы можете отозвать это согласие (Раздел 10).

6. Как мы передаём информацию

Мы не продаём вашу персональную информацию. Этот Раздел объясняет, кто получает информацию о вас и в каком качестве. Часть её обрабатывают для нас поставщики услуг — по нашим указаниям и не для своих собственных целей. Часть её попадает к компании, которая сама решает, что с этой информацией делать, и этот Раздел называет таких получателей. Часть её мы обязаны раскрыть, чтобы соблюсти закон, а при слиянии, поглощении или передаче активов то, что у нас есть, перешло бы к покупателю — с соблюдением предусмотренных законом гарантий, — кроме ваших биометрических данных, которые таким путём не переходят никогда. А часть её Сервис публикует для других людей.

Поставщики услуг, действующие для нас. Эти поставщики обрабатывают информацию по нашим указаниям и не для своих собственных целей. Didit назван в списке ниже только для полноты и сегодня ничего для нас не обрабатывает:

• Google Workspace — размещает наши почтовые ящики, среди них privacy@worldrepublic.org и legal@worldrepublic.org. Всё, что вы пишете нам на любой из этих адресов, и всё, что вы к этому прикладываете, — включая то, что вы присылаете, чтобы показать, что запрос исходит от вас (Раздел 10.3), — обрабатывает Google как наш поставщик. Операционные оповещения, описанные ниже в пункте об Amazon Web Services, тоже доставляются по электронной почте, и один из адресов, на которые они приходят, — в нашем собственном домене. Поэтому оповещение, в котором есть адрес кошелька назначения, тоже обрабатывает Google. Вход через Google — это другие отношения, и этот Раздел излагает их ниже.
• Amazon Web Services (AWS) — четыре вещи. Amazon Rekognition Face Liveness, Amazon S3 (эталонные изображения) и Amazon Cognito (временные гостевые учётные данные) — как наш поставщик услуг для биометрической верификации (регион ЕС). Amazon Simple Notification Service, который несёт наши операционные оповещения. AWS CloudTrail, который ведёт журнал аудита безопасности наших облачных аккаунтов и наш журнал доступа к изображениям с проверок лица (Раздел 8). И Amazon Simple Email Service, который несёт два сообщения, которые мы должны отправить тому, кто пожаловался на партию: что жалоба у нас есть и что мы решили. Эти сообщения уходят на адрес, который этот человек нам дал, и содержат название партии, дату и номер; они никогда не содержат выбранного основания и того, что этот человек написал. Оповещение сообщает нам, что что-то требует внимания, — например, вывод, который пошёл не так, аккаунт, достигший одного из установленных нами пределов того, как часто он может совершать действия, регистрация партии, которую автоматическая проверка не смогла прочитать, или уничтожение биометрических данных, которое не завершилось. Это примеры, а не весь список. Оповещение может содержать адрес кошелька назначения, сумму и сеть вывода и тот номер, который мы присваиваем этому выводу в наших собственных записях, внутренний идентификатор аккаунта и идентификатор партии. Если перевод был отправлен, оповещение может содержать также хеш этой транзакции в блокчейне и номер, который присвоил ей платёжный поставщик. Оповещение никогда не содержит собственного названия или описания партии и никогда не содержит того, что сказала о ней автоматическая проверка.
• Didit — верификация личности при направлении. Сейчас не предлагается и никаких наших данных не хранит (Раздел 4.2). См. документы Didit Verification Privacy Notice и End User Terms for Identity Verification.
• Coinbase — выполняет вывод WDD в блокчейне; получает адрес назначения, сумму, сеть и тот номер, который мы присваиваем этому выводу в наших собственных записях, и ничего больше.
• Neon — хостинг базы данных для данных Сервиса. Наша база данных работает в Сингапуре, а Neon обрабатывает данные также и в Соединённых Штатах (Раздел 7).
• Vercel — хостинг приложения и журналы инфраструктуры. Наше приложение работает в Сингапуре, а Vercel обрабатывает данные также и в Соединённых Штатах (Раздел 7). Его AI Gateway, кроме того, передаёт запрос на проверку партии из Разделов 5.1 и 5.2 — один запрос — в Baseten и никуда больше.
• Baseten — запускает языковые модели, которые проверяют регистрации партий (Разделы 5.1 и 5.2); получает название партии, описание, ссылку и имя пользователя лидера, ничего из этого не сохраняет после того, как на запрос дан ответ, и не обучается на этом (Соединённые Штаты).

Актуальный список субобработчиков предоставляется по запросу.

Google, когда вы входите. Вход через Google — это обмен между вами и Google, и Google сам решает, что с этим обменом делать. Здесь Google действует не только по нашим указаниям, поэтому в этой части Google не наш поставщик услуг. Мы получаем токен аутентификации и идентификатор вашего аккаунта Google и сохраняем только идентификатор (Раздел 3.1). То, что Google делает со входом, регулируется собственной политикой конфиденциальности Google (policies.google.com/privacy).

Наше Сообщество поддержки. Разделы 4.1 и 5.1 направляют вас в наше Сообщество поддержки, если вы хотите, чтобы на автоматическое решение посмотрел человек. Это сообщество — публичный канал в Telegram. То, что вы там пишете, читают Telegram и все остальные участники канала. Этот канал мы не контролируем. Если вы предпочитаете не писать публично, напишите вместо этого на privacy@worldrepublic.org: этот путь ведёт к тому же человеку, и Раздел 10.1 его описывает.

Раскрытие, которого требует закон, и переход Сервиса к другой организации. Мы можем раскрыть информацию, чтобы соблюсти закон или ответить на правомерные запросы органов власти. Мы можем раскрыть информацию и при слиянии, поглощении или передаче активов (с соблюдением предусмотренных законом гарантий). Ваши биометрические данные никогда не входят в такую передачу. Мы их не продаём, не сдаём внаём, не обмениваем и не извлекаем из них выгоду иным образом, и мы не передаём их покупателю вместе со всем остальным, что у нас есть. Кроме поставщика, который хранит их для нас и по нашим указаниям (Раздел 4.3), мы раскрываем биометрические данные только там, где вы на это соглашаетесь, где этого требует закон или где к этому обязывает действительный ордер либо судебная повестка. Слияние, поглощение и передача активов не относятся ни к одному из этих случаев.

Публикуется Сервисом. Часть того, что вы делаете, показывается другим людям. Это не передача поставщику. Это публикация, и её нельзя отменить, попросив поставщика остановиться:

• Реестр партий. Если вы регистрируете партию, в реестре публикуются название партии, описание, ссылка, ваше имя пользователя и общая сумма WDD, начисленная партии в виде субсидий. Реестр открыт: его может прочитать любой без аккаунта, а поисковые системы могут его индексировать.
• Вывод средств. Вывод WDD — это публичная транзакция в блокчейне. Адрес назначения, сумма, сеть, время и тот номер, который мы присваиваем этому выводу в наших собственных записях, публикуются в блокчейне — не нами, — и удалить их никто не может. Мы записываем этот номер в транзакцию, чтобы можно было доказать, что вывод был сделан один и только один раз. Этот номер — не идентификатор вашего аккаунта. У каждого вывода свой номер, и один номер принадлежит только одному выводу. Чтобы проверить, что вывод состоялся, мы просим публичный блокчейн-сервис найти для нас эту транзакцию. Такие сервисы видят то, что блокчейн уже публикует, — адрес, сумму и номер, — и ничего другого из того, что у нас о вас есть.
• Результаты выборов. Общее число голосов каждой партии публикуется после завершения выборов. Пока выборы идут, общий счёт ни одной партии не показывается — только то, сколько всего подано бюллетеней. Мы публикуем только итоги и никогда — отдельный бюллетень. Если все проголосовали за одну и ту же партию, итоги всё же могут показать, как проголосовали вы, тому, кто знает, что вы голосовали; а если проголосовало совсем мало людей — тому, кто к тому же знает, как проголосовали остальные (Раздел 5.3). Когда бюллетень можно связать с вами в нашей базе данных, говорит Раздел 5.3.

Во всём этом появляется ваше имя пользователя, и выбираете его вы (Раздел 3.1).

7. Международная передача данных

Наше место нахождения — в Швейцарии, на которую распространяется решение ЕС об адекватности, и мы также учреждены в Европейском союзе (Раздел 1). Ваши данные обрабатываются более чем в одной стране:

• Биометрические данные (шаблоны лица и эталонные изображения) обрабатывает и хранит AWS в Европейском союзе (Ирландия).
• Журнал аудита безопасности наших облачных аккаунтов и наш журнал доступа к изображениям с проверок лица (Раздел 8): записи о вас хранятся в Европейском союзе — в Ирландии, где проводится проверка лица, и в Германии, где мы храним наши копии.
• Данные аккаунта и приложения хранятся в нашей базе данных в Neon и отдаются через Vercel. Оба работают в Сингапуре, и часть этих данных попадает также в Соединённые Штаты: в соглашении Vercel об обработке данных сказано, что его основные мощности обработки находятся в Соединённых Штатах, а Neon заключает договор через материнскую компанию в Соединённых Штатах, в условиях которой назван поставщик мониторинга инфраструктуры из Соединённых Штатов. Этим путём идут журналы запросов и сервера — ваш IP-адрес, user-agent вашего браузера, страница, которую вы запросили, и, в некоторых записях об ошибках, внутренний идентификатор аккаунта.
• Регистрации партий, проходящие проверку (название, описание, ссылка, имя пользователя лидера), отправляются в Baseten в Соединённых Штатах для автоматической проверки из Разделов 5.1 и 5.2 и там не хранятся.
• Данные о выводе — адрес назначения, сумма, сеть и тот номер, который мы присваиваем этому выводу в наших собственных записях, — уходят в Coinbase, компанию, базирующуюся в Соединённых Штатах. В каких странах сам Coinbase обрабатывает эти данные, мы не установили.
• Операционные оповещения несёт Amazon Simple Notification Service (Раздел 6), и оповещение может содержать адрес кошелька назначения, сумму и сеть вывода и тот номер, который мы присваиваем этому выводу в наших собственных записях, внутренний идентификатор аккаунта и идентификатор партии. Если перевод был отправлен, оповещение может содержать также хеш этой транзакции в блокчейне и номер, который присвоил ей платёжный поставщик. Оповещение никогда не содержит собственного названия или описания партии и никогда не содержит того, что сказала о ней автоматическая проверка. Этот сервис работает в том регионе Amazon, который мы для него настроили, и этот регион может находиться за пределами Европейского союза. Затем оповещение доставляется по электронной почте, и один из адресов, на которые оно приходит, — в нашем собственном домене, который Google Workspace размещает в Соединённых Штатах (Раздел 6).
• Сообщения тому, кто пожаловался на партию, несёт Amazon Simple Email Service в Европейском союзе (Ирландия) — в том же регионе, что и биометрические данные, и по тому же соглашению.
• Данные входа уходят в Google, который обрабатывает эти данные в Соединённых Штатах и в других странах.
• Направление на проверку документа из Раздела 4.2 никуда ничего не отправляет, потому что оно не предлагается и запустить проверку невозможно. Компания Didit, которая заключает договоры с клиентами в Европе, — Didit Identity Spain, S.L., и Didit заявляет, что его основные системы обработки находятся внутри Европейского экономического пространства. Это заявление принадлежит самому Didit, и мы его не подтверждали. Прежде чем этот путь будет предложен, мы подтвердим в этом Разделе, где обрабатывалась бы проверка, и назовём гарантию, которая её покрывает.
• То, что вы пишете на privacy@worldrepublic.org или на legal@worldrepublic.org, обрабатывает в Соединённых Штатах Google Workspace (Раздел 6).

На Сингапур не распространяется решение ЕС или Швейцарии об адекватности, а на Соединённые Штаты оно распространяется только в отношении получателей, сертифицированных по Data Privacy Framework. Мы не полагаемся на одну гарантию для всех этих передач. Мы предпочитаем сказать вам, какая гарантия покрывает какого получателя, чем назвать инструмент, которого у нас нет:

• Vercel, а через шлюз Vercel и Baseten: Стандартные договорные положения Европейской комиссии и International Data Transfer Addendum Великобритании — и то и другое включено в соглашение Vercel об обработке данных. Есть ли в этом соглашении и дополнение, которого требует швейцарское право, мы не установили. Отдельного соглашения с Baseten у нас нет.
• Google, для наших почтовых ящиков: стандартные условия Google Workspace, которые включают дополнение Google об обработке данных и Стандартные договорные положения.
• Google, для входа: своих гарантий у нас нет. Google сам решает, как он обходится со входом, поэтому здесь он действует не только по нашим указаниям, и соглашения об обработке данных с Google для входа у нас нет. Google заявляет, что он сертифицирован по EU–US Data Privacy Framework. Никакого отдельного инструмента для этой передачи мы не получали.
• AWS: соглашение AWS об обработке данных. Ваши биометрические данные хранятся в Европейском союзе (Ирландия) и вообще не передаются за пределы Европейского союза. Когда вы скачиваете копию изображений со своих собственных проверок лица (Раздел 10.1), ваш браузер получает их напрямую из AWS в Европейском союзе (Ирландия), где бы вы ни находились: они не проходят через наши серверы, и мы не оставляем себе никакой копии того, что вы скачиваете. Описанные выше операционные оповещения передаются по тому же соглашению — в том регионе Amazon, который мы для этих оповещений настроили. Сообщения, которые мы отправляем тому, кто пожаловался на партию, передаются по тому же соглашению, в Европейском союзе (Ирландия).
• Neon: стандартные условия Neon, которые применяются автоматически, когда мы пользуемся Neon. Положения о передаче для этого договора находятся в условиях материнской компании Neon, и мы их пока не получили.
• Coinbase: стандартные условия Coinbase для разработчиков. Насколько мы понимаем, в этих условиях есть приложение о передаче, но мы это пока не подтвердили.

Там, где передачу покрывает решение об адекватности — Европейский союз и Швейцария признают друг друга, — мы полагаемся на это решение, и никакого другого инструмента не требуется.

Ещё две вещи, о которых вам лучше знать, чем догадываться. Оценку воздействия передачи мы не проводили ни для одной из названных выше передач. Ни на какие дополнительные меры, кроме мер безопасности из Раздела 11, мы не полагаемся. Мы работаем над тем, чтобы недостающие инструменты появились, и будем обновлять этот Раздел по мере того, как каждый из них появится.

Вы можете запросить у нас копию названных выше гарантий. Напишите на privacy@worldrepublic.org (Раздел 10.1).

8. Хранение данных

9. Удаление аккаунта

Вы можете удалить свой аккаунт в Сервисе. Удаление уничтожает биометрические данные, которые AWS хранит по нашему поручению, и убирает ваши записи о верификации. Оно уничтожает ваши учётные данные для входа — привязку к аккаунту Google и все ключи доступа, — так что войти в этот аккаунт снова невозможно. Если вы войдёте потом ещё раз, вы получите новый и пустой аккаунт. Оно заменяет ваше имя пользователя случайно сгенерированным и убирает IP-адрес и сведения об устройстве, которые хранятся вместе с вашими записями о согласии. Внутри нашей базы данных эти изменения вносятся в нашу основную базу данных — ту, на которой работает Сервис. Наш поставщик базы данных хранит историю для восстановления базы данных, продолжительность которой мы сейчас задаём примерно в шесть часов, и собственные резервные копии, которые, по его заявлению, он хранит 30 дней; мы ещё не подтвердили у него, что именно охватывают эти резервные копии. То, что мы удаляем, остаётся в этой истории и в этих резервных копиях, пока не истечёт их срок хранения. Копию нашей базы данных мы делаем только для того, чтобы проверить изменение в Сервисе или восстановиться после сбоя, и удаляем её, когда эта работа заканчивается. Копия, сделанная до того, как вы удалили аккаунт, сохраняет то, что в ней было, пока её не удалят, а после этого может оставаться в резервных копиях поставщика, пока не истечёт их срок хранения. То же самое верно для каждой записи, которую, как сказано в Разделе 8, мы удаляем из нашей базы данных.

При удалении аккаунта ваш баланс WDD и потоки вознаграждений аннулируются — это те вознаграждения, которые ещё поступали к вам. Это условие Условий использования, а не вопрос конфиденциальности, и его излагает Раздел 8.5 Условий использования. Если вы хотите сохранить баланс, выведите его, прежде чем удалять аккаунт. Чтобы уничтожить ваши биометрические данные, удалять аккаунт не обязательно: Раздел 4.4 описывает этот отдельный путь, и он оставляет ваш баланс WDD нетронутым.

Удаление убирает не всё, и мы предпочитаем назвать то, что остаётся, а не называть это анонимным. У вашего аккаунта есть внутренний идентификатор, который мы не удаляем, и почти все эти записи остаются привязанными к нему:

• То, что вы голосовали на каждых тестовых выборах, и когда — но не то, за какую партию вы голосовали: это не хранится вместе с вашим аккаунтом. Когда бюллетень ещё можно связать с человеком, который его подал, говорит Раздел 5.3. Запись о том, что вы голосовали, сохраняется, чтобы явка на каждых выборах оставалась верной.
• Ваша запись о WDD — каждое начисленное вам вознаграждение, хранимое в виде потока, которым оно поступало на ваш баланс; каждое изменение этого потока; и каждый сделанный вами вывод: адрес кошелька назначения, сумма и сеть, а там, где вывод не удалось отправить, — запись об этой попытке. Ваш баланс обнуляется, а ваши потоки вознаграждений убираются, но запись о том, что было выделено и что было выплачено, остаётся. Это наша запись о том, сколько WDD мы выделили и сколько WDD выплатили (Раздел 8).
• Реферальный код, сгенерированный для вашего аккаунта, который ничто в Сервисе не использует (Раздел 3.1).
• Доказательство каждого данного вами согласия и каждого отозванного — какой документ, какая версия, когда, язык и экран, на котором было показано заявление, а для согласия на подсчёт голоса — какие выборы (Раздел 8).
• То, что вы подтвердили, что вам 18 лет или больше, и когда — сохраняется как доказательство того, что мы спросили, а вы ответили (Раздел 3.1). Даты рождения у нас нет, поэтому и убирать нечего.
• Партия, которую вы зарегистрировали — она остаётся в реестре. Случайно сгенерированное имя пользователя заменяет выбранное вами имя в качестве имени лидера этой партии.
• Операционные оповещения о том, что пошло не так, и их копии в почтовых ящиках, которые их получают — оповещение может содержать адрес кошелька назначения, сумму и сеть вывода и тот номер, который мы присваиваем этому выводу в наших собственных записях, внутренний идентификатор аккаунта и идентификатор партии. Если перевод был отправлен, оповещение может содержать также хеш этой транзакции в блокчейне и номер, который присвоил ей платёжный поставщик. Оповещение никогда не содержит собственного названия или описания партии и никогда не содержит того, что сказала о ней автоматическая проверка. Оповещение — это сообщение об одном событии, а не запись, которая ведётся под вашим аккаунтом, поэтому оно несёт те из этих идентификаторов, которые были у этого события. Удаление вашего аккаунта их не удаляет (Раздел 8).
• Журналы сервера и ошибок — их наши поставщики хостинга и базы данных хранят тот срок, который мы не контролируем. Строка журнала может содержать внутренний идентификатор вашего аккаунта, адрес, с которого пришёл запрос, и страницу, которую он запрашивал. Удаление вашего аккаунта эти журналы не удаляет (Раздел 8).
• Журнал аудита безопасности наших облачных аккаунтов и наш журнал доступа к изображениям с проверок лица (Раздел 8, где сказано, сколько хранится каждый из них). Их записи могут содержать внутренний идентификатор вашего аккаунта или называть один из ваших сеансов проверки лица. Записи о ваших проверках лица могут также содержать идентификатор, который AWS присвоила вашему браузеру. Записи о ваших проверках живого присутствия и о том, как вы сами скачивали изображения с ваших проверок лица, также содержат IP-адрес и user-agent браузера, а запись о добавлении вашего лица в коллекцию отмечает, где на эталонном изображении находятся ваши глаза, нос и рот и каков угол поворота вашей головы, но никогда не содержит самого изображения или шаблона. Уничтожение данных вашего лица, которое запускает удаление, добавляет собственные записи, и удаление вашего аккаунта не удаляет ни одной из этих записей.
• Даты на самом аккаунте — когда аккаунт был создан, когда он в последний раз менялся и когда был удалён.

Эти записи псевдонимизированы, а не анонимны, и разницу стоит назвать. Ни в одной из них нет вашего адреса электронной почты. Ни в одной из них нет вашего имени или выбранного вами имени пользователя. Почти все эти записи остаются привязанными к одному и тому же внутреннему идентификатору, поэтому их по-прежнему можно прочитать как записи одного аккаунта. Некоторые виды записей — исключение, и каждый из них назван выше: операционное оповещение — это сообщение об одном событии, а не запись, которая ведётся под аккаунтом, а строка журнала сервера или ошибок, как и запись в журнале аудита безопасности или в нашем журнале доступа к изображениям с проверок лица, несёт внутренний идентификатор лишь иногда. Адрес кошелька назначения — больше, чем псевдонимный идентификатор: это постоянный идентификатор в публичном блокчейне, и каждый, кто уже знает какой-либо ваш адрес, может увидеть платежи, сделанные на этот адрес. Назвать эти записи анонимными было бы неправдой, поэтому мы их так не называем.

Вы можете сохранить копию своих данных, прежде чем удалять аккаунт, и это стоит сделать заранее (Раздел 10.1). После удаления аккаунта этого пути больше нет: копия собирается для аккаунта, в который выполнен вход, а в удалённый аккаунт войти нельзя. К тому же потом у нас не будет способа убедиться, что запрос об удалённом аккаунте исходит от того человека, которому этот аккаунт принадлежал (Раздел 10.3). В копии из приложения нет изображений с ваших проверок лица; их скачивают отдельно, в разделе Аккаунт → Верификация, и, как и копию, скачать их после удаления аккаунта нельзя.

Поданные вами голоса остаются учтёнными. Ваш выбор входит в общий счёт партии и не хранится вместе с вашим аккаунтом, поэтому ничего из него мы не можем убрать отдельно. Удаление аккаунта записывает ваше согласие на их подсчёт как отозванное — в день удаления. Если на момент удаления тестовые выборы, на которых вы голосовали, ещё идут, ваши биометрические данные уничтожаются по завершении этих выборов, а не сразу (см. Раздел 4.5).

10. Ваши права

В зависимости от того, где вы живёте, у вас могут быть перечисленные ниже права. Воспользоваться ими обычно ничего не стоит (Раздел 10.5), и за то, что вы ими воспользовались, к вам не будут относиться иначе.

• ЕС/ЕЭП и Великобритания (GDPR / UK GDPR): доступ, исправление, удаление, ограничение обработки, переносимость, возражение и отзыв согласия. Если решение о вас было принято исключительно автоматическими средствами и имеет для вас существенные последствия — это отказ, описанный в Разделе 4.1, и решение о показе по умолчанию из Раздела 5.1, — у вас есть также право потребовать участия человека с нашей стороны, изложить свою точку зрения и оспорить это решение; пишите на privacy@worldrepublic.org. Оба этих решения мы принимаем автоматическими средствами потому, что каждое из них необходимо для той услуги, о которой вы нас попросили. Для отказа эта услуга — тестовые выборы, на которых у одного верифицированного человека один голос. Для решения о показе по умолчанию эта услуга — реестр, в котором каждая запись — это настоящая регистрация партии. Отказ решается по данным особой категории — вашим биометрическим данным, — и условие, на которое мы для этого опираемся, — явное согласие, которое вы даёте при проверке лица (Раздел 4.4). Решение о показе по умолчанию никогда не принимается исходя из политических взглядов, которые выражает регистрация; эти взгляды читаются только как часть проверяемого текста, и вы сами делаете их публичными, регистрируя партию для публикации (Раздел 5.1). Ответ из Раздела 5.2 отличается в обоих отношениях: в нём действительно читается позиция, которую партия публикует об ИИ, и он ничего не меняет в том, как показывается ваша партия, если только читатель не попросит показать только те партии, которые говорят, чего хотят в отношении ИИ (Раздел 5.2). Вы можете попросить человека рассмотреть его и можете возразить против него, потому что для него мы опираемся на наш законный интерес (Раздел 10.6). Вы можете подать жалобу в надзорный орган по месту вашего жительства; для целей GDPR ЕС наш ведущий надзорный орган — венгерский NAIH (Раздел 14).
• Швейцария (revFADP): доступ, исправление, удаление, переносимость данных (ст. 28 revFADP), возражение и право подать жалобу Федеральному уполномоченному по защите данных и информации (FDPIC). Что касается автоматического отказа, описанного в Разделе 4.1, вы можете также изложить свою позицию и попросить, чтобы это решение рассмотрел человек.
• Бразилия (LGPD): подтверждение того, что мы обрабатываем ваши данные, доступ, исправление, анонимизация или удаление, переносимость, сведения о том, кому мы передавали ваши данные, и отзыв согласия.
• Калифорния (CCPA/CPRA): знать, удалять, исправлять, отказаться от продажи и передачи (мы не продаём и не передаём) и ограничить использование чувствительной персональной информации (к ней относятся и биометрические данные).
• Биометрические законы (BIPA в Иллинойсе, CUBI в Техасе, закон штата Вашингтон): мы получаем ваше согласие, прежде чем собирать биометрические данные, никогда не продаём их, не сдаём внаём, не обмениваем и не извлекаем из них выгоду иным образом и следуем письменному графику хранения и уничтожения. Они никогда не входят в слияние, поглощение или передачу активов (Раздел 6).

Вы можете в любой момент отозвать своё согласие на подсчёт вашего бюллетеня (Раздел 5.3): в приложении откройте Аккаунт → Верификация → Отозвать моё согласие на обработку голосов. Отзыв распространяется на все выборы, на которых вы голосовали, и мы записываем день, когда вы его отзываете (Раздел 8). Отзыв не влияет на законность подсчёта ваших голосов, произведённого до отзыва. Уже подсчитанный голос остаётся в общем счёте партии: ваш выбор входит в этот счёт и не хранится вместе с вашим аккаунтом, поэтому ничего из него мы не можем убрать отдельно (Раздел 9). Отзыв не сокращает сроков из Раздела 5.3, в течение которых бюллетень ещё можно связать с вами. При следующем голосовании ваше согласие будет запрошено снова.

10.1 Как ими воспользоваться

Путей два. Первый отвечает на доступ и переносимость прямо на месте, никого не спрашивая.

• В приложении. Откройте настройки аккаунта; в разделе Аккаунт есть строка Ваши данные. Она собирает копию всего, что у нас о вас есть и до чего мы можем добраться из вашего аккаунта, — страницу, которую можно прочитать, и машиночитаемый файл, который можно передать другому сервису. Копия собирается в тот момент, когда вы её запрашиваете, для того аккаунта, который её запрашивает, и нигде не хранится: мы не оставляем себе никакой копии, и нет ссылки, которую можно было бы кому-то отправить. Это наш ответ на доступ и на переносимость, и просить нас об этом не нужно. В этой копии нет изображений, которые ваши проверки лица оставили у нас: они остаются вне файла, созданного для того, чтобы его передавали дальше. Скачайте их вместо этого в разделе Аккаунт → Верификация, где они приходят отдельным файлом — все изображения, хранящиеся по вашим собственным проверкам лица, и никогда ни одного, хранящегося по чужим. Удаление аккаунта — на том же экране.
• Письменно. Всё остальное — исправление, ограничение обработки, возражение, вопрос о данных, которые хранят наши поставщики (Разделы 4.3 и 6), или жалоба на решение — направляется на privacy@worldrepublic.org.

Вход не оставляет нам вашего адреса электронной почты (Раздел 3.1), поэтому обычно мы можем ответить только на тот адрес, с которого вы нам написали. Есть одно исключение, и оно узкое. Если вы жалуетесь на партию, мы сохраняем адрес, указанный в этой жалобе, и используем его для этой жалобы и ни для чего больше: чтобы подтвердить, что она у нас есть, и чтобы сообщить вам, что мы решили. Мы не используем его, чтобы ответить на другой вопрос, чтобы рассказать вам об изменении этой политики или чтобы прислать вам что-то, о чём вы не просили. Он ещё и часть записи о решении — поэтому Раздел 8 его сохраняет, а не убирает, как только оба сообщения ушли.

10.2 Сколько времени это у нас занимает

За ответы на запросы, присланные на privacy@worldrepublic.org, в указанные ниже сроки отвечает Balázs Kónya, член правления. Мы не обещаем внутреннего срока короче того, которого требует закон: цель, по которой никто не работает, хуже, чем соблюдённый установленный законом срок, и мы работаем именно по приведённым ниже срокам.

Срок идёт со дня, когда ваш запрос до нас дошёл, — не со дня, когда мы закончили вас идентифицировать, и не со дня, когда мы нашли то, о чём вы просили. По GDPR и UK GDPR мы отвечаем без неоправданной задержки и в любом случае в течение одного месяца с момента получения. Если запрос сложный или если вы подали несколько запросов, мы можем взять ещё до двух месяцев; в течение первого месяца мы сообщим вам, что делаем это, и почему.

Там, где закон по месту вашего жительства устанавливает иное, мы поступаем так, как он устанавливает:

• Великобритания. Если нам обоснованно нужны дополнительные сведения, чтобы вас идентифицировать или найти то, о чём вы просили, отсчёт приостанавливается со дня, когда мы спросили, до дня, когда вы ответили. Мы спросим только там, где без этого действительно не можем двигаться дальше.
• Бразилия. Мы подтверждаем, обрабатываем ли мы ваши данные, и даём к ним доступ в упрощённой форме — немедленно и в полном объёме — в течение 15 дней с момента вашего запроса.
• Швейцария. Как правило, мы отвечаем в течение 30 дней. В ответе есть всё, что требует от него ст. 25(2) revFADP, в том числе получатели или категории получателей, к которым уходят ваши данные, а если они уходят за границу — в какую страну и на какие гарантии мы опираемся; Разделы 6 и 7 излагают и то и другое заранее.
• Калифорния. Мы подтверждаем получение в течение 10 рабочих дней и отвечаем в течение 45 дней; этот срок мы можем один раз продлить ещё на 45 дней, если сообщим вам причину.

10.3 Как мы убеждаемся, что это вы

У нас нет ни вашего документа, удостоверяющего личность, ни вашего адреса, поэтому приведённая ниже лестница — это всё, что у нас есть. Мы идём по ней сверху вниз и останавливаемся на первой ступени, которая вас идентифицирует.

1. Ваш аккаунт, в который выполнен вход. Копия в приложении и скачивание изображений с ваших проверок лица готовятся для того аккаунта, который их запрашивает, в момент запроса. Ничто не идентифицирует вас лучше — поэтому в Разделе 10.1 это первый путь, а не просто удобство.
2. Ключ доступа, зарегистрированный на этот аккаунт. Если вы не можете попасть в приложение, мы можем попросить вас выполнить вход по ключу доступа — по тем учётным данным, которые у аккаунта уже есть.
3. Привязанный к нему аккаунт Google. Если вы входили через Google, мы можем попросить вас показать, что этот аккаунт под вашим контролем, — войдя через него.
4. Дополнительные сведения. Если ничего из этого невозможно, мы можем попросить у вас дополнительные сведения, которые нам обоснованно нужны, чтобы убедиться, что запрос исходит от вас, — и не больше того.
5. Письменный отказ. Если убедиться мы всё же не можем, мы сообщим вам об этом письменно, в срок из Раздела 10.2, с нашими причинами и с путём подачи жалобы из Раздела 10.4. Мы предпочитаем отказать в запросе, который не можем соотнести с человеком, чем ответить на него не тому.

Адрес кошелька мы никогда не примем как доказательство того, кто вы. Вывод средств делается в публичных блокчейнах, поэтому адрес, которым вы пользовались, может назвать любой, кто читает блокчейн; знание адреса не доказывает ничего, а подпись сообщения с него доказывала бы контроль над ключом, а не над этим аккаунтом.

Мы также не будем просить у вас документ, удостоверяющий личность, чтобы ответить на запрос. Нам не с чем его сравнить — документа, удостоверяющего личность, у нас нет, — поэтому он ничего бы нам не сказал и обошёлся бы вам дороже, чем стоит сам запрос.

10.4 Если мы откажем

Если мы не выполним ваш запрос, мы сообщим вам почему, в срок из Раздела 10.2, и скажем, что делать дальше. Вы можете подать жалобу в орган по защите данных по месту вашего жительства — для целей ЕС это венгерский NAIH, в Швейцарии FDPIC, в Великобритании ICO (Раздел 14) — и вы можете обратиться в суд. Ни то ни другое не зависит от нашего согласия.

В Великобритании у вас есть также право пожаловаться напрямую нам. Мы подтвердим получение жалобы в течение 30 дней и сообщим вам результат без неоправданной задержки. Жалоба нам — не условие для жалобы в ICO.

10.5 Сколько это стоит

Ничего. Если запрос явно необоснован или чрезмерен — в частности, если он повторяет тот, на который мы уже ответили, — закон позволяет нам взять разумную плату или отказать; и если мы когда-нибудь сделаем то или другое, мы скажем, что именно и почему. Мы предпочитаем отказать в одном запросе с объяснением причин, чем назначить цену за все остальные.

У машиночитаемого файла и скачивания изображений с ваших проверок лица есть общее небольшое ограничение на то, сколько копий можно сделать за любые 24 часа. Это не плата, и дело не в мощностях: оно существует для того, чтобы тот, кто завладел вашим сеансом, не мог раз за разом незаметно уносить всю вашу запись. Читать копию на экране оно вам не мешает никогда, и писать нам — тоже.

10.6 Два права, которые мы исполняем вручную

Доступ, переносимость и удаление есть в приложении, и запроса они не требуют. Ограничение обработки и возражение — нет. У нас нет переключателя, который приостанавливал бы обработку одной части вашей записи, оставляя работать остальное, поэтому запрос на ограничение или возражение выполняем мы — вручную, случай за случаем, в сроки из Раздела 10.2. Напишите нам, скажите, что вы хотите остановить и что именно в вашем положении делает это важным, и мы это взвесим и сообщим вам, что сделали. Мы предпочитаем сказать вам, что это делается вручную, а не оставить вас догадываться об этом по тому, сколько времени это занимает.

11. Безопасность

Мы используем TLS при передаче и хранилище с контролем доступа. Прямой доступ к нашей базе данных есть только у людей, которых мы уполномочили обеспечивать работу Сервиса, у наших поставщиков базы данных и хостинга и у программного обеспечения, с помощью которого мы обеспечиваем работу Сервиса. Копию нашей базы данных мы делаем только для того, чтобы проверить изменение в Сервисе или восстановиться после сбоя, и удаляем её, когда эта работа заканчивается. Копия содержит те же данные, и как долго в ней сохраняется то, что мы удаляем, говорит Раздел 9. Идеально защищённых систем не бывает, но мы работаем над тем, чтобы защитить ваши данные.

12. Несовершеннолетние

Сервис предназначен для взрослых от 18 лет. Прежде чем верифицировать вашу личность, мы просим вас подтвердить, что вам 18 лет или больше, и не верифицируем никого, кто этого не подтвердил. Мы записываем только то, что подтверждение было дано, и когда; дату рождения мы не спрашиваем.

Мы сознательно не собираем данные ни у кого младше 18 лет. Если нам станет известно, что у нас есть данные о человеке младше 18 лет, мы закроем его аккаунт и уничтожим его биометрические данные так, как излагает Раздел 2 нашей Политики хранения и уничтожения биометрических данных. Если вы считаете, что у кого-то младше 18 лет есть аккаунт, напишите на privacy@worldrepublic.org.

13. Изменения

Мы можем обновлять эту политику. Когда мы это делаем, мы публикуем новый текст на этой странице и обновляем дату «Последнее обновление» выше. Изменение этой политики вступает в силу, когда мы его публикуем. Эта политика описывает то, что мы на самом деле делаем с вашими данными, поэтому она должна становиться верной в тот же момент, когда становится верным то, что она описывает; задержать изменение на месяц значило бы только, что эта политика месяц была неверной. С Условиями использования дело обстоит иначе. Условия использования — это договор между вами и нами, и Раздел 14 Условий использования даёт вам 30 дней до того, как существенное изменение этого договора начнёт к вам применяться.

Одно изменение намеренно медленнее. Если мы когда-нибудь увеличим срок хранения биометрических данных, более длительный срок не применяется к данным, которые у нас уже есть, пока с момента публикации изменения не пройдёт 30 дней. Это излагает Раздел 6 Политики хранения и уничтожения биометрических данных, и он определяет срок, указанный в Разделе 4.5 и в таблице хранения в Разделе 8.

Мы не можем отправить вам уведомление, когда эта политика меняется. Вход не оставляет нам ни адреса электронной почты, ни номера телефона, ни почтового адреса, потому что мы намеренно ничего из этого не храним (Раздел 3.1), а в Сервисе нет ни баннера, ни сообщения, которые могли бы вам об этом сказать. Если вы жаловались на партию, у нас есть адрес, указанный в этой жалобе, — и ни для этого, ни для чего-либо ещё, кроме той жалобы, мы его использовать не будем (Раздел 10.1). Это следствие того, что мы храним так мало: кроме адреса, указанного в жалобе, у нас нет никаких ваших контактных данных. Раздел 10.1 говорит то же самое обо всём остальном — ответить мы можем только на тот адрес, с которого вы нам написали. Поэтому уведомление — это сама эта страница: текущий текст всегда здесь, а дата выше — это дата, когда мы в последний раз меняли эту политику.

Эта политика написана на английском языке, и мы публикуем её на других языках. К вам применяется версия на том языке, на котором Сервис показал её вам. Там, где эта версия расходится с английским текстом, применяется то значение, которое для вас благоприятнее.

14. Контакты

• Конфиденциальность: privacy@worldrepublic.org
• Контакт в Европейском союзе: Balázs Kónya, член правления, 3626 Hangony, Dózsa György út 5., Венгрия (privacy@worldrepublic.org)
• Ведущий надзорный орган в ЕС: Венгерское национальное управление по защите данных и свободе информации (NAIH), Будапешт — naih.hu
• Надзорный орган Швейцарии: Федеральный уполномоченный по защите данных и информации (FDPIC), Берн
• Надзорный орган Великобритании: Управление комиссара по информации (ICO), Уилмслоу — ico.org.uk